이번 소식
GitHub가 자동 빌드·테스트에 사용하는 외부 코드의 버전을 고정하는 워크플로 잠금 파일을 공개 미리보기로 제공했습니다. 대상은 GitHub Enterprise Cloud와 데이터 저장 지역을 선택하는 해당 서비스입니다.
달라진 점
기존 설정에 적은 태그나 브랜치는 검토 이후 다른 코드를 가리킬 수 있습니다. 잠금 파일을 적용하면 이름을 그대로 쓰면서도 미리 기록한 커밋, 즉 특정 코드 상태로 실행합니다.
gh actions-lock확장으로.github/workflows/actions.lock파일을 생성·관리합니다. 액션과 그 액션이 사용하는 의존성, 재사용 워크플로의 의존성을 기록합니다.- 워크플로별로 순차 도입할 수 있습니다. 도입한 워크플로는 필요한 의존성이 잠금 파일에 있어야 하며, 태그가 이동해도 기록된 커밋을 사용합니다.
- Dependabot이 도입된 워크플로의 액션 버전을 갱신할 때 같은 변경 제안 안에서 해당 잠금 항목도 다시 생성합니다. 별도 추가 설정은 필요하지 않습니다.
어떤 점이 달라지나요?
자동 배포를 운영하는 팀은 자신의 저장소를 수정하지 않았는데 외부 태그가 바뀌어 다른 코드가 실행되는 위험을 줄일 수 있습니다. 파일을 수정하지 않고 잠금 정보가 최신인지 검사하는 기능도 제공됩니다. 일반 앱 이용자가 직접 켜는 기능은 아닙니다.
사용 전 확인할 점
관리자는 기업·조직·저장소에 잠금 파일 사용을 요구하는 정책을 적용할 수 있으며, 이 정책도 공개 미리보기입니다. 확장을 설치한 뒤 생성된 잠금 파일과 워크플로 변경을 검토하고 저장소에 반영하는 것이 공식 도입 절차입니다. 코드를 고정했다고 그 코드가 안전하다는 뜻은 아니므로 잠그기 전에 의존성 자체를 검토해야 합니다.
공식 발표일: 2026년 10월 14일.
새 글 받아보기
RSS 리더에서 BlogFlow의 새 글을 확인할 수 있습니다.